安全研究人员意外发现Win 7和Win Server 2008零日漏洞

日前法国安全研究人员在进行测试时意外发现已经停止支持的Windows 7以及Windows Server 2008 存在漏洞。

攻击者只需要使用非常轻松地步骤即可将特制的.DLL文件提权，而且这里提的不是管理员权限而是系统级别权限。

起初这名研究人员并没有准备寻找这枚漏洞，但在测试安全更新时发现微软默认配置的注册表项目存在安全缺陷。

理论上说攻击者只需要修改和增加注册表键值即可触发漏洞，在提升到系统级别的权限后接下来便可以为所欲为。

位于RPC和DNS缓存中的漏洞：

首先这枚安全漏洞位于RPC端点映射器和DNS缓存 , 严格来说漏洞是位于这些功能的注册表里并且存在错误配置。

HKLM\SYSTEM\CurrentControlSet\Services\RpcEptMapperHKLM\SYSTEM\CurrentControlSet\Services\Dnscache

攻击者要做的就是提前制作好特定的DLL文件然后修改注册表，修改注册表可以欺骗RPC端点映射器和DNS缓存。

例如本地非管理员只需要在上述注册表路径创建Performance子键并填充内容 , 然后触发性能监视即可触发漏洞。

因为微软错误地配置会导致触发性能监视时WmiPrvSe.exe 自动加载攻击者控制的DLL文件进而引发更大的问题。

就目前来说该漏洞仅影响Windows 7以及 Windows Server 2008 (R2) 版 , 其他版本的Windows不受漏洞影响。

微软不会发布更新修复漏洞：

鉴于上述操作系统已经抵达生命周期重点不再获得支持，因此即便研究人员将漏洞通报给微软也得不到微软修复。

因为在停止支持后微软不会再向普通用户和企业提供安全更新，除非企业向微软支付较高的费用获得扩展支持等。

如果家庭用户或企业用户仍然使用这些旧操作系统且没有额外购买扩展支持，则应该考虑升级到受支持的新版本。

当然如果是企业环境基于安全考虑建议企业将这些旧系统机器进行网络隔离，避免攻击者通过网络手段发起攻击。

微软目前尚未就此漏洞发布回应，不过既然研究人员已经通报，微软估计在准备给扩展支持的企业制作修复程序。